Acuerdo de Transmisión de Datos Personales entre Responsable y Encargado

En pocas palabras

Usted (el profesional de la salud o la institución para la que trabaja) es el Responsable de los datos de sus pacientes: decide para qué se usan y responde por ellos ante los pacientes y la Superintendencia de Industria y Comercio (SIC). TruLab Consulting, que opera NotaRapidaMD, es su Encargado: trata esos datos solo por cuenta de usted, siguiendo sus instrucciones, para prestarle el servicio.

• No usamos los datos de sus pacientes para fines propios, para publicidad ni para entrenar modelos de inteligencia artificial.
• Usamos los proveedores tecnológicos del Anexo D, de Estados Unidos y de otros países, que almacenan los datos en Estados Unidos y pueden procesarlos también en otros países. Le avisaremos con 15 días hábiles de anticipación antes de agregar o cambiar uno, y usted podrá oponerse. Nuestro personal puede consultar los datos desde Panamá, donde estamos domiciliados, cuando haga falta para dar soporte, mantener la seguridad, corregir fallas o cumplir la ley.
• Si ocurre un incidente de seguridad que afecte sus datos, se lo informaremos sin demora y, en lo posible, dentro de las 72 horas siguientes a conocerlo, y lo reportaremos a la SIC.
• Usted declara que tiene una base legal para cada dato que ingresa (por ejemplo, la obligación de llevar la historia clínica o la autorización expresa del paciente para grabar la consulta) y que informó a sus pacientes.
• Al terminar, usted decide si le devolvemos los datos y los suprimimos, o si los seguimos custodiando para que cumpla el plazo legal de conservación de la historia clínica.

Este resumen no reemplaza las cláusulas que siguen.

Partes

El Responsable (exportador de datos): el profesional de la salud independiente o la institución prestadora de servicios de salud (IPS) cuyos pacientes se atienden con la Plataforma, identificado con los datos de la cuenta que acepta y, cuando se trata de una IPS, con su nombre (y su NIT cuando se informa). Quien acepta en nombre de una IPS declara contar con facultades para obligarla. Quien trabaja para una IPS sin esas facultades (por ejemplo, un médico vinculado o el personal de facturación) acepta como usuario autorizado por la IPS: se obliga a cumplir este Acuerdo en lo que le corresponde, y la IPS sigue siendo la Responsable y debe aceptarlo por medio de quien pueda obligarla.

El Encargado (importador de datos): TruLab Consulting Inc, sociedad constituida en Panamá, con domicilio en PH Sabana Tower, Suite 503B, Vía España, Ciudad de Panamá, Panamá; teléfono +507 6174-5700; correo privacidad@notarapidamd.com; operadora de la plataforma NotaRapidaMD (notarapidamd.com).

Ley aplicable: la Ley Estatutaria 1581 de 2012, el Capítulo 25 del Título 2 de la Parte 2 del Libro 2 del Decreto 1074 de 2015 y las instrucciones de la Superintendencia de Industria y Comercio. Autoridad de control: la Superintendencia de Industria y Comercio de Colombia.

Cláusula 1. Finalidad, ámbito y definiciones

1.1 Finalidad. Este Acuerdo es el contrato de transmisión de datos personales previsto en el artículo 2.2.2.25.5.2 del Decreto 1074 de 2015. Su finalidad es que el Encargado realice el tratamiento de los datos personales por cuenta del Responsable con las garantías que exige la Ley aplicable, incluidas las transmisiones internacionales a las que se refiere el artículo 2.2.2.25.5.1, numeral 2, del mismo Decreto. Cualquier interpretación del Acuerdo tendrá en cuenta esta finalidad.

1.2 Ámbito. El Acuerdo se aplica a los datos personales de los pacientes del Responsable y de las demás personas cuyos datos el Responsable ingresa, dicta, graba, carga o genera en la Plataforma (en adelante, los «Datos del Responsable»), según la descripción del Anexo B. No se aplica a los datos de la cuenta del propio profesional (nombre, correo, registro profesional, uso del servicio), de los cuales TruLab Consulting es Responsable conforme a su Política de Tratamiento de Datos Personales, ni a los datos de pago, que Lemon Squeezy trata como responsable independiente.

1.3 Definiciones. Las palabras definidas en la Ley 1581 de 2012 y en el Decreto 1074 de 2015 tienen ese significado. Además:

• Plataforma: el servicio NotaRapidaMD, incluidas sus aplicaciones y sus interfaces.
• Titular: la persona natural a quien se refieren los datos; en particular, cada paciente.
• Datos sensibles: los definidos en el artículo 5 de la Ley 1581 de 2012; incluyen todos los datos relativos a la salud.
• Subencargado: el proveedor al que el Encargado recurre para realizar actividades de tratamiento por cuenta del Responsable. La legislación colombiana no regula esta figura de manera propia; este Acuerdo la usa para describir a los proveedores del Anexo D, que tratan los datos por cuenta del Responsable a través del Encargado.
• Vulneración de la seguridad: cualquier daño, pérdida, alteración, destrucción o acceso a los datos, y en general cualquier uso ilícito o no autorizado, aun cuando ocurra de manera accidental.
• Anonimización: medidas que impiden identificar o volver a identificar a una persona sin esfuerzos desproporcionados.

1.4 Transmisión. Cuando el modelo RIPD que este Acuerdo toma como referencia use la palabra «transferencia», se entenderá «transmisión», conforme a la Circular Externa 003 de 2025 de la SIC.

Cláusula 2. Efectos, jerarquía e interpretación

2.1 Este Acuerdo se interpreta conforme a la Ley aplicable y no podrá interpretarse en contra de los derechos y obligaciones que ella establece. En caso de contradicción, prevalece la Ley aplicable.

2.2 Este Acuerdo toma como referencia las cláusulas del modelo RIPD, cuyo uso es facultativo (Circular Externa 003 de 2025), con las adaptaciones que contiene.

2.3 En materia de protección de datos personales, este Acuerdo prevalece sobre los Términos y Condiciones de la Plataforma y sobre cualquier otro acuerdo entre las Partes, salvo en materia de responsabilidad e indemnidad, que se rigen por la cláusula 10 de este Acuerdo y por las secciones 7 y 8 de los Términos y Condiciones.

Cláusula 3. Efectos entre las Partes

Este Acuerdo produce efectos solo entre las Partes. No crea derechos ni acciones a favor de terceros distintos de los que la Ley aplicable ya les reconoce.

Cláusula 4. Descripción del tratamiento

Las categorías de Titulares y de datos, las finalidades, la frecuencia y el plazo del tratamiento se describen en el Anexo B.

Cláusula 5. Celebración y adhesión

Cada Responsable se adhiere a este Acuerdo aceptándolo en la Plataforma, lo cual constituye un mensaje de datos válido conforme a la Ley 527 de 1999. La Plataforma conserva la versión aceptada, la fecha y hora, la cuenta que aceptó, si lo hizo en nombre propio o de una IPS y una huella digital (SHA-256) del texto. El Responsable puede consultar este Acuerdo en cualquier momento en notarapidamd.com/acuerdo-de-tratamiento. El Responsable que se adhiere no adquiere derechos ni obligaciones por el período anterior a su adhesión.

Cláusula 6. Obligaciones del Encargado

6.1 Instrucciones. El Encargado trata los Datos del Responsable sin poder de decisión sobre su alcance y contenido, y solo siguiendo las instrucciones documentadas del Responsable. Son instrucciones del Responsable este Acuerdo y el uso y la configuración que el Responsable haga de la Plataforma. Si una instrucción le parece contraria a la Ley aplicable, el Encargado lo informará al Responsable.

6.2 Política del Responsable y finalidad. Conforme al artículo 2.2.2.25.5.2 del Decreto 1074 de 2015, el Encargado se compromete a dar aplicación a las obligaciones del Responsable bajo la política de tratamiento de la información fijada por este, y a tratar los datos solo de acuerdo con la finalidad que los Titulares hayan autorizado y con las leyes aplicables. Cuando el Responsable no le haya comunicado su política, el Encargado aplicará los principios de la Ley 1581 de 2012 y este Acuerdo.

6.3 Prohibiciones. El Encargado no usará los Datos del Responsable para fines propios ni de terceros; en particular, no los venderá, no los usará para publicidad y no los usará para entrenar ni mejorar modelos de inteligencia artificial, propios o ajenos. Solo podrá usar datos agregados y anonimizados, o datos técnicos de uso del servicio que no contengan información clínica, para operar y mejorar la Plataforma. En particular, para medir la calidad de los borradores, la Plataforma compara cada borrador con la nota que el profesional guarda y conserva solo cifras (cuánto se editó, qué secciones y cuántas alertas): el texto del borrador usado para esa comparación se elimina en cuanto se calculan, y en todo caso dentro de las 24 horas siguientes, y la nota final no se copia para ese fin. El Encargado solo comunicará los Datos del Responsable a terceros distintos de los subencargados del Anexo D siguiendo instrucciones documentadas del Responsable, o cuando una ley o una autoridad lo exija (cláusula 12.4).

6.4 Principio de responsabilidad. El Encargado mantiene los mecanismos necesarios para demostrar el cumplimiento de este Acuerdo, rinde cuentas sobre el tratamiento al Responsable y a la SIC, y revisa periódicamente la eficacia de esos mecanismos.

6.5 Transparencia. Este Acuerdo es público en la Plataforma.

6.6 Exactitud. Si el Encargado sabe que algún dato es inexacto o está desactualizado, lo informará al Responsable sin demora y colaborará para rectificarlo o suprimirlo. Cuando el Responsable le pida actualizar, rectificar o suprimir datos, lo hará dentro de los cinco (5) días hábiles siguientes, conforme al artículo 18 de la Ley 1581 de 2012.

6.7 Seguridad. El Encargado mantiene, como mínimo, las medidas administrativas, físicas y técnicas del Anexo C, teniendo en cuenta el estado de la técnica, los costos, la naturaleza sensible de los datos y los riesgos para los Titulares, y las revisa periódicamente.

6.8 Vulneraciones de la seguridad. Si ocurre una vulneración de la seguridad que afecte los Datos del Responsable, el Encargado: (a) adoptará medidas para remediarla y mitigar sus efectos; (b) la notificará al Responsable sin demora injustificada y, en la medida de lo posible, dentro de las setenta y dos (72) horas siguientes a conocerla, y en todo caso antes de reportarla a la SIC, con la descripción de su naturaleza, cuando sea posible las categorías y el número aproximado de Titulares y registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas, completando la información a medida que la obtenga; (c) la reportará a la SIC dentro de los quince (15) días hábiles siguientes a su detección, como lo exige a los Encargados el artículo 18, literal k, de la Ley 1581 de 2012 y las instrucciones de la SIC; y (d) ayudará al Responsable a cumplir sus propias obligaciones de reporte e información a los Titulares.

6.9 Confidencialidad. El Encargado garantiza que las personas que actúan bajo su autoridad tratan los datos solo siguiendo sus instrucciones, acceden a ellos solo en la medida estrictamente necesaria para prestar, mantener y dar soporte al servicio, y están obligadas a guardar confidencialidad, obligación que subsiste después de terminada su relación con el Encargado.

6.10 Datos sensibles y de niñas, niños y adolescentes. Los datos de salud se tratan con las garantías adicionales del Anexo C. Cuando los datos se refieran a menores de edad, el Encargado privilegiará el interés superior de estos, conforme a la Convención sobre los Derechos del Niño y al artículo 7 de la Ley 1581 de 2012.

6.11 Deberes frente a los Titulares (artículo 18 de la Ley 1581 de 2012). El Encargado: registra en la base de datos la leyenda «reclamo en trámite» o «información en discusión judicial» cuando el Responsable o la SIC se lo comuniquen; se abstiene de hacer circular información que el Titular controvierte y cuyo bloqueo haya ordenado la SIC; y permite el acceso a la información únicamente a las personas autorizadas.

6.12 Documentación y auditoría. El Encargado conserva documentación suficiente de las actividades de tratamiento que realiza por cuenta del Responsable y la pone a disposición del Responsable y de la SIC cuando la soliciten. Responde las consultas razonables del Responsable sobre el tratamiento. El Responsable puede verificar el cumplimiento de este Acuerdo primero mediante la documentación y las respuestas escritas del Encargado; si estas no bastan, podrá realizar una auditoría, por sí mismo o por medio de un auditor independiente sujeto a confidencialidad, a su costa, con un aviso previo de al menos treinta (30) días y no más de una vez cada doce (12) meses. Cuando existan indicios fundados de incumplimiento o lo ordene la SIC, podrá realizarla en cualquier momento, con un aviso previo razonable. Toda auditoría se realiza de manera que no comprometa los datos de otros clientes ni la seguridad de la Plataforma.

6.13 Duración, devolución y supresión. El tratamiento dura mientras la cuenta del Responsable esté activa y durante el período del Anexo B. Al terminar la relación, el Responsable elige: (a) que el Encargado le devuelva los datos en un formato electrónico estándar y luego los suprima de forma segura, lo cual el Encargado acreditará; o (b) que el Encargado los siga custodiando, sin ningún otro tratamiento, para que el Responsable pueda cumplir el plazo de conservación de la historia clínica (como mínimo quince (15) años desde la última atención, Resolución 839 de 2017), y se los entregue cuando los pida. Mientras el Responsable no dé otra instrucción, el Encargado aplicará la opción (b), porque suprimir una historia clínica sin instrucción del custodio puede perjudicar al paciente. Si el Responsable pide eliminar su cuenta, el Encargado le pedirá antes que elija entre (a) y (b). Eliminar la cuenta no elimina los registros clínicos: si el Responsable no eligió (a), quedan bajo la custodia del Encargado según (b), sin vínculo con la cuenta, y se le entregan cuando los pida. Hasta que los datos se devuelvan o se supriman, el Encargado sigue cumpliendo este Acuerdo.

Cláusula 7. Subencargados

7.1 Autorización general. El Responsable autoriza al Encargado a recurrir a los subencargados del Anexo D. El Encargado informará al Responsable por escrito (por correo electrónico a la dirección de la cuenta y en la Plataforma) cualquier adición o sustitución de un subencargado, o cambio en los países donde trata los datos, con al menos quince (15) días hábiles de antelación, para que el Responsable pueda oponerse. Si el Responsable se opone por motivos razonables y el Encargado no puede atender la objeción, el Responsable podrá terminar este Acuerdo y su suscripción sin penalidad.

7.2 Obligaciones de los subencargados. El Encargado vincula a cada subencargado mediante un contrato escrito que, en lo esencial, le impone obligaciones de protección de datos equivalentes a las de este Acuerdo: el acuerdo de tratamiento de datos o los términos de servicio de cada proveedor, indicados en el Anexo D. Cuando un proveedor ofrezca una protección menor, el Anexo D lo dice y describe la medida adicional que adopta el Encargado. A solicitud del Responsable, el Encargado le entregará copia o enlace de esos instrumentos.

7.3 Responsabilidad. El Encargado sigue siendo responsable ante el Responsable del cumplimiento de las obligaciones de cada subencargado, con las limitaciones de la cláusula 10.1, y le informará de los incumplimientos de estos que conozca.

Cláusula 8. Derechos de los Titulares

8.1 Cuando un Titular presente al Encargado una consulta, un reclamo o una solicitud de ejercicio de sus derechos sobre los Datos del Responsable, el Encargado la remitirá al Responsable dentro de los tres (3) días hábiles siguientes y no la responderá por sí mismo, salvo que el Responsable lo autorice. Antes de confirmarle al solicitante que trasladó su solicitud, el Encargado verificará su identidad, para no revelar a un tercero que una persona es paciente del Responsable.

8.2 El Encargado ayudará al Responsable a responder dentro de los términos legales (diez (10) días hábiles para consultas y quince (15) para reclamos, prorrogables en cinco (5) y ocho (8) respectivamente, artículos 14 y 15 de la Ley 1581 de 2012). La Plataforma permite al Responsable consultar, corregir y suprimir los registros de sus pacientes; para lo que la Plataforma no permita hacer directamente, el Encargado lo ejecutará siguiendo las instrucciones del Responsable.

Cláusula 9. Reclamaciones

9.1 El punto de contacto del Encargado para reclamaciones es el área de Protección de Datos Personales de TruLab Consulting, en privacidad@notarapidamd.com, publicado en la Plataforma.

9.2 Si surge una controversia entre un Titular y una de las Partes sobre el cumplimiento de este Acuerdo, esa Parte procurará resolverla amistosamente y a tiempo, y las Partes se mantendrán informadas y colaborarán de buena fe.

Cláusula 10. Responsabilidad

10.1 Responsabilidad del Encargado. La responsabilidad del Encargado frente al Responsable, por cualquier causa relacionada con este Acuerdo, se rige por las limitaciones y exclusiones de la sección 7 de los Términos y Condiciones, en la máxima medida permitida por la ley colombiana.

10.2 Indemnidad. El Responsable mantendrá indemne al Encargado frente a las reclamaciones, quejas, investigaciones y sanciones de Titulares, autoridades o terceros que se deriven del incumplimiento de sus deberes como Responsable o de sus declaraciones de la cláusula 13 (por ejemplo, ingresar datos sin base legal o grabar una consulta sin autorización), incluidos los costos razonables de defensa.

10.3 Frente a los Titulares. Cada Parte responde frente a los Titulares conforme a la Ley aplicable. Entre las Partes, quien pague a un Titular más de lo que le corresponde podrá repetir contra la otra Parte por el exceso.

Cláusula 11. Supervisión de la SIC

El Encargado acepta someterse a la competencia de la Superintendencia de Industria y Comercio, cooperar con ella, responder sus requerimientos, someterse a sus auditorías y cumplir las medidas que adopte, y le confirmará por escrito su cumplimiento.

Cláusula 12. Transmisiones internacionales

12.1 Autorización. El Responsable autoriza al Encargado a transmitir los Datos del Responsable a los países indicados en la cláusula 12.2, solo para que el Encargado y los subencargados realicen el tratamiento por cuenta del Responsable. Con este contrato, esas transmisiones internacionales no requieren ser informadas al Titular ni contar con su consentimiento (artículo 2.2.2.25.5.1, numeral 2, del Decreto 1074 de 2015). Aun así, el Responsable puede informarlas a sus pacientes, y el modelo de aviso del Anexo E lo hace.

12.2 Países. Los subencargados almacenan los datos en Estados Unidos, país incluido en la lista de países con nivel adecuado de protección de la SIC (Circular Externa 005 de 2017). Algunos pueden procesar datos también en otros países donde operan, según el Anexo D: Anthropic (procesamiento de las solicitudes), Deepgram (punto de acceso global) y Daily.co (infraestructura en varios países). La sociedad que contrata la base de datos (Supabase Pte. Ltd.) está constituida en Singapur, aunque los datos se almacenan en Estados Unidos. El Encargado está domiciliado en Panamá. Su personal autorizado puede acceder a los Datos del Responsable desde Panamá cuando sea necesario para dar soporte, mantener la seguridad de la Plataforma, corregir fallas o cumplir la ley, sin conservar copias en ese país y con las obligaciones de seguridad y confidencialidad de este Acuerdo.

12.3 Leyes del país de destino. Las Partes declaran que, al celebrar este Acuerdo, hicieron esfuerzos razonables para identificar si alguna ley o práctica de los países de destino que vaya más allá de lo necesario y proporcional en una sociedad democrática podría afectar las garantías de este Acuerdo, y que no conocen ninguna que las afecte. El Encargado informará de inmediato al Responsable si llega a conocer una; en ese caso el Responsable podrá adoptar medidas, suspender la transmisión o terminar el Acuerdo.

12.4 Solicitudes de autoridades. Si una autoridad exige al Encargado o a un subencargado divulgar los Datos del Responsable de una manera que este Acuerdo no permite, el Encargado revisará la legalidad de la solicitud, podrá impugnarla si concluye que hay motivos razonables para considerarla ilegal, y la informará al Responsable en la medida en que la ley se lo permita.

Cláusula 13. Obligaciones del Responsable y declaraciones

13.1 El Responsable cumple los deberes que le asigna el artículo 17 de la Ley 1581 de 2012. En particular, solo suministra al Encargado datos cuyo tratamiento esté autorizado (artículo 17, literal h), conserva la prueba de las autorizaciones que haya obtenido y atiende las consultas y reclamos de sus pacientes.

13.2 El Responsable declara y garantiza que:

• Cuenta con una base legal para cada dato de sus pacientes que ingresa en la Plataforma: la obligación legal de elaborar y conservar la historia clínica, la urgencia médica o sanitaria (artículo 10, literal c, de la Ley 1581 de 2012) o la autorización previa, expresa e informada del Titular o de su representante legal.
• Antes de grabar el audio de una consulta, obtiene la autorización expresa del paciente (y de los acompañantes presentes), o la del representante legal después de escuchar al menor de edad, ofrece la opción de no grabar sin que ello cambie la atención, y registra la decisión. La Plataforma le ofrece una herramienta para hacerlo; si no la usa, debe contar con su propio procedimiento.
• Informó a sus pacientes, conforme al artículo 12 de la Ley 1581 de 2012, sobre el tratamiento de sus datos y el uso de proveedores tecnológicos, mediante su propia política o aviso de privacidad (el Anexo E ofrece un modelo).
• Cuando actúa en nombre de una IPS, cuenta con la autorización de esta para aceptar este Acuerdo e ingresar los datos de sus pacientes en la Plataforma.
• Revisa, corrige y firma cada nota generada con ayuda de la inteligencia artificial antes de incorporarla a la historia clínica; la Plataforma no toma decisiones sobre la atención de los pacientes.

13.3 Quien acepta como usuario autorizado de una IPS, sin facultades para obligarla, declara en lugar de lo anterior que la IPS lo autorizó a usar la Plataforma, que trata los datos de sus pacientes solo para las finalidades de la IPS, según sus instrucciones y con confidencialidad, y que, si graba una consulta, pide antes la autorización expresa del paciente.

Cláusula 14. Incumplimiento, suspensión y terminación

14.1 El Encargado informará de inmediato al Responsable si no puede cumplir alguna cláusula de este Acuerdo, por cualquier motivo.

14.2 Si el Encargado incumple este Acuerdo, el Responsable suspenderá el envío de datos hasta que se restablezca el cumplimiento, y podrá terminarlo si: (i) el cumplimiento no se restablece dentro de los treinta (30) días hábiles siguientes a la suspensión; (ii) el Encargado lo incumple de manera sustancial o persistente; o (iii) el Encargado incumple una decisión vinculante de un juez o de la SIC relacionada con este Acuerdo; en este último caso, el Responsable informará a la SIC del incumplimiento.

14.3 Al terminar el Acuerdo por cualquier causa se aplica la cláusula 6.13.

Cláusula 15. Vigencia y modificaciones

15.1 Este Acuerdo rige desde su aceptación y mientras el Encargado trate Datos del Responsable.

15.2 El Encargado informará cualquier modificación por correo electrónico y en la Plataforma con al menos quince (15) días hábiles de antelación. Los cambios de subencargados o de países se rigen por la cláusula 7.1. Un cambio en las obligaciones de las Partes requiere una nueva aceptación del Responsable; si no la acepta, podrá terminar la relación sin penalidad, y mientras tanto el Encargado seguirá cumpliendo la versión aceptada.

Cláusula 16. Ley aplicable y jurisdicción

16.1 Este Acuerdo se rige por la ley de la República de Colombia.

16.2 Las controversias entre las Partes derivadas de este Acuerdo se someten a los jueces de la República de Colombia, previo el procedimiento de reclamación de los Términos y Condiciones (sección 16). Las Partes aceptan esta jurisdicción.

Anexo B. Descripción del tratamiento

Titulares: los pacientes del Responsable; sus acompañantes y familiares cuya voz o información quede registrada; y los demás profesionales mencionados en la documentación clínica.

Datos: datos de identificación del paciente (nombre, tipo y número de documento, fecha de nacimiento, sexo, entidad de aseguramiento, datos de contacto); datos clínicos (motivo de consulta, enfermedad actual, antecedentes, signos vitales, examen físico, resultados de laboratorio e imágenes, diagnósticos, planes, medicamentos, alergias y demás información de la historia clínica); el audio de las consultas que el Responsable decida grabar o dictar, y su transcripción; las notas y demás documentos generados o cargados; los datos para la facturación de los servicios de salud (códigos de servicios y diagnósticos, valores, RIPS); los datos de las teleconsultas (video y audio en tiempo real, que la Plataforma no graba); y los registros de las autorizaciones de grabación.

Datos sensibles: los datos de salud, en su totalidad. Se aplican las garantías del Anexo C.

Frecuencia: continua, cada vez que el Responsable usa la Plataforma.

Finalidades (solo por cuenta del Responsable):

• Almacenar, organizar y mostrar la información clínica de los pacientes del Responsable.
• Transcribir a texto el audio que el Responsable graba o dicta.
• Generar con inteligencia artificial borradores de notas clínicas, revisiones de la documentación, sugerencias de apoyo e instrucciones para el paciente, para que el profesional los revise, corrija y firme.
• Preparar los RIPS y apoyar la facturación de los servicios de salud del Responsable.
• Prestar los servicios de teleconsulta y enviar a los pacientes las comunicaciones que el Responsable ordene (por ejemplo, confirmaciones y recordatorios de citas).
• Dar soporte técnico cuando el Responsable lo pida; mantener la seguridad de la Plataforma; prevenir el abuso; y cumplir obligaciones legales.

Plazo: mientras la cuenta del Responsable esté activa y, al terminar, según la cláusula 6.13. Cuando el Responsable suprime un registro, este se borra de la base de datos activa; las copias de seguridad diarias se renuevan automáticamente y no se usan salvo para recuperar el servicio. Los subencargados conservan los datos según el Anexo D.

Subencargados: los del Anexo D.

Anexo C. Medidas de seguridad

• Cifrado en tránsito: todas las comunicaciones con la Plataforma usan TLS (HTTPS).
• Cifrado en reposo: la base de datos (Supabase) cifra los datos almacenados con AES-256.
• Acceso individual: cada usuario accede con su propia cuenta (correo y contraseña, o Google). No hay cuentas compartidas.
• Control de acceso en la base de datos (Row-Level Security): cada profesional accede a los registros clínicos que creó. Dentro de una clínica, los administradores pueden consultar las notas de los profesionales de la clínica, y todos los miembros pueden ver los datos de identificación de los pacientes de la clínica. El personal de facturación accede a los datos necesarios para facturar (identificación del paciente, motivo de consulta, diagnósticos y códigos) y no al texto de la nota. Cuando la clínica activa el acceso compartido a los expedientes, sus profesionales y su personal de facturación pueden consultar, además, las alergias, medicamentos, problemas, antecedentes, signos vitales, tareas y encuentros (motivo, evaluación, disposición y notas) de pacientes atendidos por otros profesionales de la clínica.
• Separación de credenciales: las credenciales con acceso amplio a la base de datos solo existen en los servidores; el navegador usa credenciales limitadas por las reglas anteriores.
• Registros de auditoría: se registran los cambios de valores, códigos, pagador, notas y datos de RIPS de cada cobro (facturación) y, cuando la clínica activa el acceso compartido, cada consulta que un profesional hace, a través de la Plataforma, de las secciones del expediente de pacientes atendidos por otro (alergias, medicamentos, problemas, antecedentes, signos vitales, tareas y encuentros (motivo, evaluación, disposición y notas)). Las consultas de notas por los administradores de la clínica aún no se registran.
• Copias de seguridad: copias diarias de la base de datos.
• Protección contra abuso: límites de frecuencia de solicitudes, y verificación anti-bots en el registro, el inicio de sesión y la recuperación de contraseña con correo electrónico.
• Monitoreo de errores: los informes de error se envían sin el cuerpo de las solicitudes, y los mensajes que contienen campos de identificación de pacientes se ocultan antes del envío. Las direcciones de las solicitudes y los registros de rendimiento aún no se filtran; su corrección está en curso.
• Sin entrenamiento: la API de inteligencia artificial (Anthropic) no usa los datos para entrenar modelos; cada solicitud de transcripción (Deepgram) se envía excluida de su programa de mejora de modelos; y el entrenamiento de modelos con datos está desactivado en el alojamiento (Vercel).
• Conservación mínima en proveedores: Anthropic elimina las solicitudes dentro de 30 días (el contenido que sus sistemas señalen por posible infracción de su política de uso puede conservarse hasta dos años); Deepgram conserva el audio y la transcripción solo durante el procesamiento.
• Personal: el acceso a los sistemas de producción está limitado a personal autorizado de TruLab Consulting, sujeto a confidencialidad, y solo para prestar, mantener y dar soporte al servicio o cumplir la ley.
• Cambios controlados: cada cambio en la Plataforma se ejecuta contra pruebas automáticas.
• Grabación de consultas presenciales: la Plataforma pide registrar la decisión del paciente antes de abrir el micrófono; no emite la clave de transcripción de ese modo ni genera la nota sin una autorización registrada; y permite detener y descartar la grabación si el paciente retira la autorización. Las teleconsultas tienen su propio paso de consentimiento del paciente antes de entrar a la videollamada.
• Incidentes: notificación al Responsable sin demora y, en lo posible, dentro de las 72 horas siguientes a conocerlos, y reporte a la SIC dentro de 15 días hábiles (cláusula 6.8).

Anexo D. Lista de subencargados

El Responsable autoriza que el Encargado recurra a los siguientes subencargados. La razón social, la dirección y el contacto de protección de datos de cada uno son los que publica en sus propios términos, acuerdo de tratamiento de datos o aviso de privacidad (consultados el 17 de octubre de 2026). El registro de encargados de notarapidamd.com/procesadores es la lista vigente.

• Supabase. Razón social: Supabase Pte. Ltd. (Singapur). Dirección: 65 Chulia Street #38-02/03, OCBC Centre, Singapur 049513. Contacto de protección de datos: privacy@supabase.io. Función: Base de datos, autenticación, almacenamiento de archivos. Datos que recibe: Todos los datos de usuario, registros clínicos, historiales médicos. Ubicación: EE.UU. (AWS us-east-1). Instrumento contractual: DPA de Supabase aceptado automáticamente con la cuenta (https://supabase.com/legal/dpa).
• Anthropic PBC. Razón social: Anthropic, PBC. Dirección: 548 Market St, PMB 90375, San Francisco, CA 94104, Estados Unidos. Contacto de protección de datos: privacy@anthropic.com (delegado de protección de datos: dpo@anthropic.com). Función: Generación de texto con IA (Claude). Datos que recibe: Transcripciones clínicas y contenido de notas. Anthropic no usa estos datos para entrenar sus modelos y los elimina dentro de los 30 días siguientes a su recepción; el contenido que sus sistemas señalen por posible infracción de su política de uso puede conservarse hasta dos años. Ubicación: Estados Unidos (almacenamiento); el procesamiento puede realizarse en otros países donde Anthropic opera. Instrumento contractual: Adenda de Procesamiento de Datos con cláusulas contractuales tipo, incorporada en los Términos Comerciales de Anthropic (https://www.anthropic.com/legal/data-processing-addendum).
• Deepgram Inc.. Razón social: Deepgram, Inc.. Dirección: 548 Market St, Suite 25104, San Francisco, CA 94104, Estados Unidos. Contacto de protección de datos: security@deepgram.com. Función: Transcripción de voz a texto. Datos que recibe: Grabaciones de audio y su transcripción. Ubicación: Punto de acceso global de Deepgram (empresa de EE.UU.). Instrumento contractual: Términos de Servicio de Deepgram (Deepgram no publica una adenda de procesamiento de datos). Desde el 16 de octubre de 2026, cada solicitud de NotaRapidaMD se excluye de su programa de mejora de modelos, por lo que el audio y la transcripción se conservan solo durante el procesamiento y no se usan para entrenar modelos (https://deepgram.com/terms).
• Daily.co (Daily Inc.). Razón social: Daily, Co.. Dirección: 548 Market St, Suite 39113, San Francisco, CA 94104, Estados Unidos. Contacto de protección de datos: help@daily.co. Función: Videollamadas para telemedicina. Datos que recibe: Transmisiones de video/audio (no se graban a menos que se configure expresamente). Ubicación: Infraestructura de AWS en varios países (Daily es una empresa de EE.UU.). Instrumento contractual: Adenda de Procesamiento de Datos incorporada en los Términos de Servicio de Daily (https://www.daily.co/legal/data-processing-addendum/).
• Vercel Inc.. Razón social: Vercel Inc. (Delaware, Estados Unidos). Dirección: 440 N Barranca Avenue #4133, Covina, CA 91723, Estados Unidos. Contacto de protección de datos: privacy@vercel.com. Función: Alojamiento de la aplicación y del sitio web; analítica de visitas. Datos que recibe: Todo el tráfico entre el navegador y la Plataforma (incluidos datos de cuenta y datos clínicos en tránsito) y datos de navegación. Ubicación: Estados Unidos (Washington D. C.). Instrumento contractual: DPA incorporado por referencia en sus términos de servicio.
• Sentry. Razón social: Functional Software, Inc. d/b/a Sentry. Dirección: 45 Fremont Street, 8th Floor, San Francisco, CA 94105, Estados Unidos. Contacto de protección de datos: legal@sentry.io. Función: Monitoreo de errores técnicos. Datos que recibe: Informes técnicos de errores; antes del envío se aplican filtros para eliminar los datos de identificación de pacientes. Ubicación: Estados Unidos (Iowa). Instrumento contractual: DPA aceptado electrónicamente (6 de octubre de 2026).
• Upstash. Razón social: Upstash, Inc. (Delaware, Estados Unidos). Dirección: no publicada por el proveedor. Contacto de protección de datos: privacy@upstash.com. Función: Control de frecuencia de solicitudes (protección contra abuso). Datos que recibe: Identificador de usuario, dirección IP y, al enviar el correo de verificación de cuenta, la dirección de correo electrónico. Ubicación: Estados Unidos (Virginia del Norte; respaldo en Ohio). Instrumento contractual: DPA incorporado en sus términos de servicio.
• Resend. Razón social: Plus Five Five, Inc. (opera Resend). Dirección: 2261 Market Street #5039, San Francisco, CA 94114, Estados Unidos. Contacto de protección de datos: privacy@resend.com. Función: Envío de correos electrónicos del servicio. Datos que recibe: Correo electrónico y nombre del usuario. En los correos de telemedicina a pacientes (confirmación, cancelación y recordatorio de cita): correo electrónico y nombre del paciente, fecha y hora de la cita, nombre del médico (en la confirmación y la cancelación) y enlace a la videollamada. En las alertas de plazos de facturación (glosas y radicación) enviadas al equipo de la IPS: número de documento y nombre del paciente y valor del cobro. Ubicación: Estados Unidos (Virginia). Instrumento contractual: DPA incorporado en sus términos de servicio.
• Google LLC (solo hasta el 16 de octubre de 2026). Razón social: Google LLC. Dirección: 1600 Amphitheatre Parkway, Mountain View, CA 94043, Estados Unidos. Contacto de protección de datos: legal-notices@google.com. Función: Generación de texto con IA (Gemini): principal para las notas de teleconsulta en español y respaldo del proveedor principal en las demás. Desde el 16 de octubre de 2026 NotaRapidaMD no le envía datos. Datos que recibe: Contenido de notas clínicas: las notas de teleconsulta en español y las notas que el proveedor principal no lograba generar. Ubicación: Estados Unidos y otros países donde Google opera. Instrumento contractual: Términos de procesamiento de datos de Google para la API de Gemini. Google conserva las solicitudes hasta 55 días para detectar abusos (https://business.safety.google/processorterms/).

Protección menor señalada (cláusula 7.2): Deepgram no publica un acuerdo de tratamiento de datos; la medida adicional es que cada solicitud se envía excluida de su programa de mejora de modelos, para que el audio no se conserve ni se use para entrenar.

Anexo E. Documentos relacionados y modelo de aviso para pacientes

Documentos relacionados: la Política de Tratamiento de Datos Personales de TruLab Consulting (notarapidamd.com/privacy), que rige los datos de la cuenta del profesional; los Términos y Condiciones (notarapidamd.com/terms), de los cuales este Acuerdo forma parte; y el registro de encargados (notarapidamd.com/procesadores).

Modelo de aviso de privacidad para pacientes (opcional; el Responsable lo adapta y lo publica en su consultorio o IPS):

«[Nombre del profesional o de la IPS], con domicilio en [dirección], teléfono [teléfono] y correo [correo], es responsable del tratamiento de sus datos personales, incluidos sus datos de salud, que son datos sensibles. Los usamos para prestarle atención en salud, elaborar y conservar su historia clínica, facturar los servicios y cumplir la ley. Para documentar su atención usamos herramientas tecnológicas, incluida la inteligencia artificial, de proveedores que almacenan los datos en Estados Unidos y pueden procesarlos también en otros países, que actúan por nuestra cuenta y bajo contrato. Usted no está obligado a responder preguntas sobre datos sensibles. Grabaremos el audio de su consulta solo si usted lo autoriza expresamente; si no lo autoriza, su atención será la misma. Usted puede conocer, actualizar, rectificar y solicitar la supresión de sus datos, y revocar su autorización, escribiendo a [correo] o en [dirección]. Nuestra política de tratamiento de datos está disponible en [enlace o lugar].»